「OpenSSL」にあらたな脆弱性 - アップデートを公開
「OpenSSL」の開発チームは、あらたな脆弱性を発表した。これまでに判明している脆弱性とあわせて修正を行ったセキュリティアップデートを提供している。
現地時間2025年2月11日にセキュリティアドバイザリを公開し、認証におけるエラー処理が適切に行われない脆弱性「CVE-2024-12797」について明らかにしたもの。「Raw Public Keys(RPK)」をサーバやクライアントで有効化している場合に影響を受ける。
未認証であるサーバとのハンドシェイクが本来失敗すべきところ、異常が検出されずに通信が継続し、「TLS」「DTLS」の通信における中間者攻撃(MITM攻撃)のリスクが高まるとしている。
「OpenSSL 3.2」で「RPK」をサポートした際に生じたもので、2024年12月18日に報告を受けた。開発チームでは脆弱性の重要度を、4段階中、上から2番目にあたる「高(High)」とレーティングしている。
開発チームは、脆弱性に対処した「同3.4.1」「同3.3.3」「同3.2.4」をリリースした。「同3.3.3」「同3.2.4」については、先に判明した「CVE-2024-13176」「CVE-2024-9143」についても修正されている。
また今回判明した「CVE-2024-12797」の影響を受けないが、「CVE-2024-13176」や「CVE-2024-9143」へ対処したアップデート「同3.1.8」「同3.0.16」をあわせて公開した。
(Security NEXT - 2025/02/12 )
ツイート
PR
関連記事
米当局、悪用が確認された脆弱性4件について注意喚起
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正